In AWS erlaubt eine Richtlinie einer Rolle s3:DeleteObject, eine andere verbietet es. Was passiert?
Kurzantwort
Die Anfrage wird abgelehnt. Bei der AWS-Richtlinienauswertung überstimmt ein explizites Deny in jeder anwendbaren Richtlinie (identitäts- oder ressourcenbasiert, Permissions Boundary, SCP oder RCP) alle Allow-Anweisungen. Die Reihenfolge spielt keine Rolle, und ein spezifischeres Allow schlägt kein breiteres Deny. Ohne Allow gilt ein implizites Deny, aber nur ein explizites Deny lässt sich nicht aushebeln.
Das ist eine Standardfrage zu Cloud-IAM, weil viele Ingenieure die Firewall-Intuition „die spezifischste Regel gewinnt" übertragen. AWS funktioniert anders.
Die Regel
Die AWS-Dokumentation zur Richtlinienauswertung besagt: Bei Zugriff im selben Konto sind die resultierenden Berechtigungen die Vereinigung identitäts- und ressourcenbasierter Richtlinien, und ein „explicit deny" in einer davon überstimmt das Allow. Derselbe Satz gilt für Permissions Boundaries, Service Control Policies (SCPs) und Resource Control Policies (RCPs).
Zusammengefasst
- Standard: alles ist verboten, sofern keine Richtlinie es erlaubt (implizites Deny).
- Allow: gewährt Zugriff nur, wenn nichts ihn explizit verbietet, und nur innerhalb der Schnittmenge aller anwendbaren Boundaries, SCPs oder RCPs.
- Explizites Deny: gewinnt immer. Reihenfolge, Spezifität und Richtlinientyp sind irrelevant.
Im Szenario schlägt die Anfrage s3:DeleteObject also fehl.
Warum das wichtig ist
Explizite Denies bilden dauerhafte Leitplanken: Eine SCP, die cloudtrail:StopLogging oder Aktionen außerhalb freigegebener Regionen verbietet, kann kein Allow eines Konto-Admins aufheben. Bei der Fehlersuche deutet ein „AccessDenied" trotz sichtbarem Allow meist auf ein Deny (oder ein fehlendes Allow in Boundary/SCP) an anderer Stelle.
Warum die Distraktoren verlockend sind
„Spezifischstes gewinnt" und „Allow der Identität gewinnt" stammen aus anderen Systemen oder Wunschdenken. „Alphabetische Reihenfolge" ist erfunden; die Auswertung ist nicht reihenfolgeabhängig.
Was Interviewer hören wollen
„Explizites Deny gewinnt immer; sonst braucht es ein Allow in jeder anwendbaren Ebene." Bonus für SCPs als Leitplanken.
Wahrscheinliche Anschlussfragen
- Was ist der Unterschied zwischen implizitem und explizitem Deny?
- Wie wirken Permissions Boundaries und SCPs mit identitätsbasierten Allows zusammen?
- Wie würden Sie ein bedingtes Deny als Leitplanke für einen sensiblen Bucket nutzen?